NH투자증권 금감원 제재공시 · 2015-03-20

제재내용 공개

1. 금융기관명 : 舊우리(現엔에이치)투자증권(주)

2. 제재조치일 : 2015. 3. 20.

3. 제재조치내용

[표]

제재대상 | 제 재 내 용

기 관 | 경영유의 1건, 개선 1건

임 원 |

직 원 | 조치의뢰 2건

[/표]

4. 제재대상사실

가. 경영유의 사항

(1) 취약점점검 대상시스템 확대 필요

◇◇◇ 등을 대상으로 주기적인 취약점 점검을 실시하고 있으나, □□□서버는 취약점 점검 대상에 포함하지 않아 동 서버 내 취약점 존재여부를 확인할 수 없으므로,

취약점 점검대상 서버를 □□□서버 등 주요 서버 전체로 확대 적용하여 정보처리시스템 운영의 안전성 확보를 강화할 필요가 있음

나. 조치의뢰 사항

(1) ◇◇◇시스템 접근통제 및 계정관리 불철저

｢전자금융감독규정｣ 제15조 제2항 제2호에 의하면 금융회사는 해킹 등 전자적 침해행위로 인한 사고를 방지하기 위하여 정보보호시스템을 설치운영하는 경우에는 최소한의 서비스번호(port)와 기능만을 적용하고 업무목적 이외의 기능을 제거해야 하며, 동 규정 제32조에 의하면 내부사용자의 비밀번호 유출을 방지하기 위하여 정보처리시스템의 계정 비밀번호는 숫자영문자 등을 혼합하여 8자리 이상으로 설정해야 하고, 비밀번호 보관 시 암호화하여야 하는데도,

2013.11.6.~12.13. 기간 중 해킹에 취약한 ◇◇◇ 서비스번호를 제거하지 않아 내부통신망에 위치한 직원 PC에서 동 서비스번호를 이용하여 서버에 접속이 가능하였고,

서버 접속계정인 □□□의 비밀번호는 숫자영문자 혼합 및 8자리 이상 등의 정책을 적용하지 않고 사용하였으며, 시스템 운영을 위한 설정파일에 ◇◇◇ 계정 비밀번호를 암호화하지 않고 평문저장하였음

(2) 공개용 웹서버 이용자 정보 관리 불철저

｢전자금융감독규정｣ 제17조 제1항 제4호에 의하면 금융회사는 내부통신망과 외부통신망사이의 독립된 통신망(DMZ구간) 내에 이용자 정보 등 주요 정보를 저장 및 관리하지 아니하여야 하고, 거래로그를 관리하기 위한 경우에는 암호화하여 저장관리하여야 하는데도,

DMZ구간에 위치한 □□□서버의 거래로그에 이용자 정보를 암호화하지 않고 평문으로 저장하였음

다. 개선사항

(1) ◎◎◎ 시스템 통제 강화

◎◎◎ 서비스를 이용하는 특정 고객(□□□)은 DMZ 구간에 자체 ◎◎◎ 서버를 구축하고 직접 운영하고 있으나, 동 고객과의 계약서에 고객이 동 서비스와 관련된 모든 IT기반시설 및 기타장비(◇◇◇ 등)에 접근할 수 있도록 명시하고 있으므로,

고객이 직접 운영하는 전용 ◎◎◎ 서버 이외에는 접근할 수 없도록 계약서의 내용을 수정하여 재계약 할 필요가 있음